EUROOPA KOHTU OTSUS (esimene koda)

26. september 2024 ( *1 )

Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 57 lõike 1 punktid a ja f – Järelevalveasutuse ülesanded – Artikli 58 lõige 2 – Parandusvolitused – Trahv – Järelevalveasutuse kaalutlusruum – Piirid

Kohtuasjas C‑768/21,

mille ese on ELTL artikli 267 alusel Verwaltungsgericht Wiesbadeni (Wiesbadeni halduskohus, Saksamaa) 10. detsembri 2021. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 14. detsembril 2021, menetluses

TR

versus

Land Hessen,

EUROOPA KOHUS (esimene koda),

koosseisus: koja president A. Arabadjiev, kohtunikud T. von Danwitz, P. G. Xuereb, A. Kumin (ettekandja) ja I. Ziemele,

kohtujurist: P. Pikamäe,

kohtusekretär: A. Calot Escobar,

arvestades kirjalikku menetlust,

arvestades seisukohti, mille esitasid:

–

TR, esindaja: Rechtsanwalt F. Wittmaack,

–

Land Hessen, esindajad: Rechtsanwälte M. Kottmann ja G. Ziegenhorn,

–

Austria valitsus, esindajad: J. Schmoll ja M.‑T. Rappersberger,

–

Portugali valitsus, esindajad: P. Barros da Costa, J. Ramos ja C. Vieira Guerra,

–

Rumeenia valitsus, esindajad: L.‑E. Baţagoi ja E. Gane,

–

Norra valitsus, esindajad: S. E. Jahr Dahl, L. M. Moen Jünge ja M. Munthe-Kaas,

–

Euroopa Komisjon, esindajad: A. Bouchagiar, M. Heller ja H. Kranenborg,

olles 11. aprilli 2024. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,

on teinud järgmise

kohtuotsuse

1

Eelotsusetaotlus käsitleb Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 57 lõike 1 punktide a ja f, artikli 58 lõike 2 ning artikli 77 lõike 1 tõlgendamist.

2

Taotlus on esitatud TRi ja Land Hesseni (Hesseni liidumaa, Saksamaa) vahelises kohtuvaidluses selle üle, et Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hesseni liidumaa andmekaitse ja teabevabaduse volinik, Saksamaa; edaspidi „andmekaitsevolinik“) ei võtnud Sparkasse X (X‑i hoiukassa; edaspidi „hoiukassa“) suhtes parandusmeetmeid.

Õiguslik raamistik

3

Isikuandmete kaitse üldmääruse põhjendustes 6, 7, 10, 129 ja 148 on märgitud:

„(6)

Kiire tehnoloogiline areng ja üleilmastumine on tekitanud isikuandmete kaitsel uusi väljakutseid. Isikuandmete kogumise ja jagamise ulatus on märkimisväärselt suurenenud. […]

(7)

Nende muudatuste tõttu on [Euroopa L]liidus vaja tugevat ja ühtsemat andmekaitseraamistikku ning selle täitmise tõhusat tagamist, kuna tähtis on luua usaldus, mis võimaldab digitaalsel majandusel areneda kogu siseturu ulatuses. […]

[…]

(10)

Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel liidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. […]

[…]

(129)

[…] Järelevalveasutuste volitusi tuleks kasutada kooskõlas liidu ja liikmesriikide õiguses sätestatud asjakohaste menetluslike kaitsemeetmetega ning erapooletult, õiglaselt ja mõistliku aja jooksul. Eelkõige peaks meede olema asjakohane, vajalik ja proportsionaalne käesoleva määruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid; austama isiku õigust ärakuulamisele, enne kui teda kahjustada võiv meede vastu võetakse, ning vältima liigseid kulusid ja liigseid ebamugavusi asjaomastele isikutele. […]

[…]

(148)

Käesoleva määruse eeskirjade täitmise tagamiseks tuleks käesoleva määruse igasuguse rikkumise eest määrata karistusi, sealhulgas trahve lisaks käesoleva määruse kohaselt järelevalveasutuse poolt kehtestatud asjakohastele meetmetele või nende asemel. Väiksema õigusrikkumise puhul või kui tõenäoliselt määratav trahv kujutaks endast füüsilise isiku jaoks ebaproportsionaalset koormust, võib trahvi asemel teha noomituse. Asjakohast tähelepanu tuleks aga pöörata rikkumise laadile, raskusele ja kestusele, rikkumise tahtlikkusele, tekitatud kahju leevendamiseks võetud meetmetele, vastutusastmele või asjakohastele eelnevatele rikkumistele, viisile, kuidas rikkumine sai järelevalveasutusele teatavaks, kooskõlale vastutava töötleja või volitatud töötleja suhtes võetud meetmetega, toimimisjuhendi järgimisele ning muudele raskendavatele või kergendavatele teguritele. […]“.

4

Määruse artikkel 5 on sõnastatud järgmiselt:

„1.   Isikuandmete töötlemisel tagatakse, et

a)

töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);

b)

isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus […] („eesmärgi piirang“);

c)

isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“);

d)

isikuandmed on õiged ja vajaduse korral ajakohastatud […] („õigsus“);

e)

isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse […] („säilitamise piirang“);

f)

isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse […] („usaldusväärsus ja konfidentsiaalsus“);

2.   Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“

5

Selle määruse artikli 24 lõikes 1 on ette nähtud:

„Arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid.“

6

Sama määruse artiklis 33 on kirjas:

„1.   Isikuandmetega seotud rikkumise korral teatab vastutav töötleja isikuandmetega seotud rikkumisest artikli 55 kohasele pädevale järelevalveasutusele põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. […]

[…]

3.   Lõikes 1 osutatud teates esitatakse vähemalt järgmine teave:

a)

kirjeldada isikuandmetega seotud rikkumise laadi ning nimetada võimaluse korral asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete asjaomaste kirjete liigid ja ligikaudne arv;

b)

teatada andmekaitseametniku või mõne teise täiendavat teavet andva kontaktisiku nimi ja kontaktandmed;

c)

kirjeldada isikuandmetega seotud rikkumise võimalikke tagajärgi;

d)

kirjeldada vastutava töötleja poolt võetud või võtmiseks kavandatud meetmeid isikuandmetega seotud rikkumise lahendamiseks, sealhulgas vajaduse korral rikkumise võimaliku kahjuliku mõju leevendamiseks.

[…]“.

7

Isikuandmete kaitse üldmääruse artikli 34 lõikes 1 on sätestatud:

„Kui isikuandmetega seotud rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teavitab vastutav töötleja andmesubjekti põhjendamatu viivituseta isikuandmetega seotud rikkumisest.“

8

Isikuandmete kaitse üldmääruse VI peatükk „Sõltumatud järelevalveasutused“ sisaldab artikleid 51–59.

9

Määruse artikli 51 lõige 1 on sõnastatud järgmiselt:

„Liikmesriik näeb ette ühe või mitu sõltumatut riigiasutust, kes vastutavad käesoleva määruse kohaldamise järelevalve eest, et kaitsta füüsiliste isikute põhiõigusi ja -vabadusi seoses nende isikuandmete töötlemisega ning hõlbustada isikuandmete vaba liikumist liidus („järelevalveasutus“).“

10

Isikuandmete kaitse üldmääruse artikli 57 „Ülesanded“ lõikes 1 on sätestatud:

„Ilma et see piiraks muude käesoleva määrusega sätestatud ülesannete täitmist, teeb järelevalveasutus oma territooriumil järgmist:

a)

jälgib käesoleva määruse kohaldamist ja tagab selle kohaldamise;

[…]

f)

käsitleb andmesubjekti, asutuse, organisatsiooni või ühenduse poolt artikli 80 kohaselt esitatud kaebusi, uurib asjakohasel määral kaebuste sisu ning teavitab kaebuse esitajat mõistliku aja jooksul uurimise käigust ja tulemusest, eelkõige juhul, kui on vajalik täiendav uurimine või kooskõlastamine teise järelevalveasutusega;

[…]“.

11

Määruse artikli 58 „Volitused“ lõigetes 1 ja 2 on sätestatud:

„1.   Järelevalveasutusel on järgmised uurimisvolitused:

a)

anda korraldus, et vastutav töötleja või volitatud töötleja või vajaduse korral vastutava töötleja või volitatud töötleja esindaja annab teavet, mis on vajalik tema ülesannete täitmiseks;

[…]

2.   Järelevalveasutusel on järgmised parandusvolitused:

a)

hoiatada vastutavat töötlejat või volitatud töötlejat, et kavandatavad isikuandmete töötlemise toimingud rikuvad tõenäoliselt käesoleva määruse sätteid;

b)

teha vastutavale töötlejale või volitatud töötlejale noomitusi, kui isikuandmete töötlemise toimingud on rikkunud käesoleva määruse sätteid;

c)

anda korraldus, et vastutav töötleja või volitatud töötleja rahuldaks andmesubjekti taotlused seoses tema käesoleva määruse kohaste õiguste kasutamisega;

d)

anda korraldus, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse käesoleva määruse sätetega;

e)

anda korraldus, et vastutav töötleja teavitaks andmesubjekti tema isikuandmetega seotud rikkumisest;

f)

kehtestada ajutine või alaline isikuandmete töötlemise piirang, sealhulgas töötlemiskeeld;

[…]

i)

määrata artikli 83 kohaselt trahve lisaks käesolevas lõikes osutatud meetmetele või nende asemel, sõltuvalt konkreetse juhtumi asjaoludest;

[…]“.

12

Selle määruse artikkel 77 on sõnastatud järgmiselt:

„1.   Ilma et see piiraks muude halduslike või õiguslike kaitsevahendite kohaldamist, on igal andmesubjektil õigus esitada kaebus järelevalveasutusele, eelkõige liikmesriigis, kus on tema alaline elukoht, töökoht või väidetava rikkumise toimumiskoht, kui andmesubjekt on seisukohal, et teda puudutavate isikuandmete töötlemine rikub käesolevat määrust.

2.   Järelevalveasutus, kellele kaebus esitatakse, teavitab kaebuse esitajat kaebuse menetlemise käigust ja tulemusest, sealhulgas artikli 78 kohasest õiguskaitsevahendi kasutamise võimalusest.“

13

Sama määruse artikli 83 lõigetes 1 ja 2 on ette nähtud:

„1.   Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.

2.   Trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks artikli 58 lõike 2 punktides a–h ja j osutatud meetmetele või nende asemel. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:

a)

rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust;

b)

kas rikkumine pandi toime tahtlikult või hooletusest;

c)

vastutava töötleja või volitatud töötleja poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks;

d)

vastutava töötleja või volitatud töötleja vastutuse aste, võttes arvesse nende poolt artiklite 25 ja 32 kohaselt võetud tehnilisi ja korralduslikke meetmeid;

e)

vastutava töötleja või volitatud töötleja eelnevad asjakohased rikkumised;

f)

järelevalveasutusega tehtava koostöö määr rikkumise heastamiseks ja rikkumise võimaliku kahjuliku mõju leevendamiseks;

g)

rikkumisest mõjutatud isikuandmete liigid;

h)

millisel viisil sai järelevalveasutus rikkumisest teada, eelkõige kas vastutav töötleja või volitatud töötleja teatas rikkumisest ja millisel määral ta seda tegi;

i)

kui asjaomase vastutava töötleja või volitatud töötleja suhtes on samas küsimuses varem võetud artikli 58 lõikes 2 osutatud meetmeid, siis nende meetmete järgimine;

j)

artikli 40 kohaste heakskiidetud toimimisjuhendite või artikli 42 kohaste heakskiidetud sertifitseerimismehhanismide järgimine, ning

k)

juhtumi asjaolude suhtes kohaldatavad mis tahes muud raskendavad või kergendavad tegurid, näiteks rikkumisest otseselt või kaudselt saadud finantskasu või välditud kahju.“

Põhikohtuasi ja eelotsuse küsimus

14

Hoiukassa on avalik-õiguslik munitsipaalasutus, kes teeb muu hulgas panga‑ ja laenutehinguid. Ta teatas 15. novembril 2019 andmekaitsevolinikule isikuandmete kaitse üldmääruse artikli 33 kohaselt isikuandmetega seotud rikkumisest, sest üks tema töötajatest oli korduvalt ilma sellekohase volituseta tutvunud ühe hoiukassa kliendi, TRi isikuandmetega. Hoiukassa ei teatanud TRile tema isikuandmetega seotud rikkumisest.

15

Pärast seda, kui TR sai juhuslikult teada, et tema isikuandmetega oli ilma põhjuseta tutvutud, esitas ta 27. juulil 2020 isikuandmete kaitse üldmääruse artikli 77 alusel andmekaitsevolinikule kaebuse. Kaebuses märkis ta, et tema isikuandmetega seotud rikkumisest ei olnud talle teada antud, ja sellega rikuti sama üldmääruse artiklit 34. TR heitis ette ka seda, et hoiukassa ligipääsuprotokollide säilitamise aeg on kõigest kolm kuud ja et igal hoiukassa töötajal on ulatuslikud ligipääsuõigused.

16

Pärast TRi kaebust kuulas andmekaitsevolinik ära hoiukassa nii kirjalikult kui ka suuliselt esitatud seisukohad talle etteheidetu suhtes. Ärakuulamise käigus avaldas hoiukassa, et ta oli loobunud isikuandmete kaitse üldmääruse artikli 34 kohasest teavitamisest, sest tema andmekaitsespetsialist leidis, et TRi õigustele ja vabadustele ei olnud suurt ohtu. Asjasse puutuva töötaja suhtes võeti distsiplinaarmeetmed ja ta kinnitas kirjalikult, et ta ei kopeerinud, säilitanud ega edastanud neid isikuandmeid kolmandatele isikutele ega tee seda ka edaspidi. Lisaks, kuna andmekaitsevolinik heitis ette, et ligipääsuprotokollide säilitamise aeg on liiga lühike, teatas hoiukassa talle, et see küsimus vaadatakse uuesti läbi.

17

Andmekaitsevolinik teatas 3. septembri 2020. aasta otsusega TRile, et hoiukassa ei ole rikkunud isikuandmete kaitse üldmääruse artiklit 34, sest hoiukassa hinnang, et toime pandud isikuandmete rikkumine ei kujuta endast tõenäoliselt suurt ohtu tema õigustele ja vabadustele selle artikli tähenduses, ei ole ilmselgelt väär. Nimelt, isegi kui töötaja oli andmetega tutvunud, ei ole alust eeldada, et ta oleks andmed kolmandatele isikutele edastanud või kasutanud neid TRi kahjustaval viisil. Peale selle märkis andmekaitsevolinik, et ta palus hoiukassal edaspidi oma ligipääsuprotokolle säilitada kauem kui kolm kuud. Lõpuks, mis puutub hoiukassa töötajate õigusse saada ligipääs isikuandmetele, siis jättis andmekaitsevolinik TRi kaebuse rahuldamata, rõhutades, et ulatuslikke ligipääsuõigusi võib üldjuhul anda siis, kui on kindel, et igale kasutajale selgitatakse, millistel tingimustel võib andmetega tutvuda. Seega ei ole andmekaitsevoliniku arvates iga tutvumistoimingu põhimõtteline kontroll vajalik.

18

TR esitas kõnealuse otsuse peale kaebuse Verwaltungsgericht Wiesbadenile (Wiesbadeni halduskohus, Saksamaa), kes on eelotsusetaotluse esitanud kohus, paludes viimasel teha andmekaitsevolinikule ettekirjutus võtta hoiukassa suhtes meetmeid.

19

TR põhjendab oma kaebust väitega, et andmekaitsevolinik ei vaadanud tema kaebust läbi nii, nagu on nõutud isikuandmete kaitse üldmääruses, st võttes arvesse kõiki faktilisi asjaolusid, ning lisab, et andmekaitsevolinik oleks pidanud määrama hoiukassale trahvi, arvestades, et viimane rikkus erinevaid isikuandmete kaitse üldmääruse sätteid, eelkõige artiklit 5, artikli 12 lõiget 3, artikli 15 lõike 1 punkti c, artikli 33 lõiget 1 ja artikli 33 lõiget 3. TRi hinnangul ei kehti selle üldmääruse tuvastatud rikkumise korral – nagu käesoleval juhul – oportuniteedi põhimõte, mistõttu ei olnud andmekaitsevolinikul õigust otsustada, kas meetmeid võtta või võtmata jätta, äärmisel juhul oli tal õigus valida, milliseid meetmeid võtta.

20

Sellega seoses on eelotsusetaotluse esitanud kohtul tekkinud sisuliselt küsimus, kas isikuandmete kaitset käsitlevate sätete tuvastatud rikkumise korral tuleb isikuandmete kaitse üldmäärust tõlgendada nii, et järelevalveasutus on kohustatud võtma selle üldmääruse artikli 58 lõike 2 alusel niisuguseid parandusmeetmeid nagu trahv, või siis nii, et sellel asutusel on kaalutlusõigus, mis lubab tal olenevalt asjaoludest niisugused meetmed võtmata jätta.

21

Eelotsusetaotluse esitanud kohus märgib, et esimene tõlgendus, mida pooldab nii TR kui ka osa õiguskirjanduse autoreid, põhineb asjaolul, et järelevalveasutuse parandusvolitused on ette nähtud õiguspärase olukorra taastamiseks, kui kodanike õigusi on isikuandmete töötlemisega rikutud. Isikuandmete kaitse üldmääruse artikli 58 lõiget 2 tuleb niisiis käsitada kohustava normina, millel rajaneb kodaniku õigus nõuda ametivõimudelt sekkumist, kui ettevõtja või asutus töötles ebaseaduslikult kodaniku isikuandmeid või rikkus tema õigusi muul viisil. Isikuandmetega seotud, tuvastatud rikkumise korral on järelevalveasutus kohustatud võtma parandusmeetmeid; ainus kaalutlusõigus, mis talle jääb, on õigus valida, milliseid sätestatud meetmetest ta võtab.

22

Eelotsusetaotluse esitanud kohus kahtleb siiski selle tõlgenduse põhjendatuses ja peab seda liiga laiaks; ta leiab, et pigem tuleb tunnustada järelevalveasutuse kaalutlusruumi, mis võimaldab tal mitte kohaldada parandusmeedet, eelkõige jätta määramata sanktsioon, ka tuvastatud rikkumise korral. Kuigi järelevalveasutusel on isikuandmete kaitse üldmääruse artikli 57 lõike 1 punkti f kohaselt kohustus vaadata kaebused hoolikalt sisuliselt läbi ja analüüsida iga üksikjuhtumit, ei ole ta siiski kohustatud võtma igas olukorras parandusmeetmeid. Niisiis ei ole tal sellist kohustust juhul, kui varem on rikutud isikuandmete kaitse eeskirju, kuid vastutav töötleja on võtnud meetmeid, mis võimaldavad eeldada, et isikuandmete kaitset rohkem ei rikuta.

23

Neil asjaoludel otsustas Verwaltungsgericht Wiesbaden (Wiesbadeni halduskohus) menetluse peatada ja esitada Euroopa Kohtule järgmise eelotsuse küsimuse:

„Kas [isikuandmete kaitse üldmääruse] artikli 57 lõike 1 punkte a ja f, artikli 58 lõike 2 punkte a–j ning artikli 77 lõiget 1 tuleb tõlgendada nii, et kui järelevalveasutus tuvastab, et isikuandmete töötlemisega on rikutud andmesubjekti õigusi, on järelevalveasutus alati kohustatud [selle üldmääruse] artikli 58 lõike 2 kohaselt sekkuma?“

Eelotsusetaotluse vastuvõetavus

24

Vaidlemata sõnaselgelt vastu eelotsusetaotluse vastuvõetavusele, väidab TR, et vastus esitatud küsimusele ei ole põhikohtuasja lahendamiseks vajalik. Tema kaebuse eesmärk on tema hinnangul üksnes see, et eelotsusetaotluse esitanud kohus kohustaks andmekaitsevolinikku tegema otsust talle esitatud kaebuses sisalduvate väidete kohta vastavalt isikuandmete kaitse üldmääruse artikli 57 lõike 1 punktile f, mitte aga see, et andmekaitsevolinikku kohustataks kasutama talle isikuandmete kaitse üldmääruse artikli 58 lõikega 2 antud volitusi.

25

Selles küsimuses tuleb märkida, et ELTL artiklis 267 sätestatud Euroopa Kohtu ja liikmesriigi kohtute koostöö raames on ainult liikmesriigi kohtul, kelle lahendada on vaidlus ja kes peab asjas otsuse tegema, pädevus kohtuasja erisusi arvestades hinnata nii eelotsuse vajalikkust oma otsuse tegemiseks kui ka Euroopa Kohtule esitatavate küsimuste asjakohasust. Järelikult, kui küsimused on esitatud liidu õiguse tõlgendamise kohta, on Euroopa Kohus üldjuhul kohustatud otsuse tegema (30. novembri 2023. aasta kohtuotsus Ministero dell’Istruzione ja INPS, C‑270/22, EU:C:2023:933, punkt 33 ja seal viidatud kohtupraktika).

26

Sellest tuleneb, et eeldatakse, et niisugused liidu õiguse tõlgendamise küsimused, mis liikmesriigi kohus on esitanud sellises õiguslikus ja faktilises raamistikus, mille ta on määratlenud omal vastutusel ja mille paikapidavust Euroopa Kohus ei pea kontrollima, on asjakohased. Euroopa Kohus võib liikmesriigi kohtu esitatud eelotsusetaotlusele vastamast keelduda üksnes juhul, kui on ilmne, et taotletaval liidu õiguse tõlgendusel puudub igasugune seos põhikohtuasja faktiliste asjaolude või esemega, kui probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada vajalikke faktilisi või õiguslikke asjaolusid, et anda tarvilik vastus talle esitatud küsimustele (30. novembri 2023. aasta kohtuotsus Ministero dell’Istruzione ja INPS, C‑270/22, EU:C:2023:933, punkt 34 ja seal viidatud kohtupraktika).

27

Käesoleval juhul rõhutab eelotsusetaotluse esitanud kohus, et TR väitis, et andmekaitsevolinikul oli õigus sekkuda, ja märkis, et viimane oleks pidanud määrama hoiukassale trahvi.

28

Neil asjaoludel ei ole ilmselge, et liidu õiguse taotletud tõlgendus ei ole mingil viisil seotud põhikohtuasja faktiliste asjaolude või esemega.

29

Seega on eelotsusetaotlus vastuvõetav.

Eelotsuse küsimuse analüüs

30

Esitatud küsimusele vastamiseks tuleb kõigepealt meelde tuletada, et liidu õigusnormi tõlgendamisel ei tule arvesse võtta mitte ainult normi sõnastust, vaid ka selle konteksti ning selle õigusaktiga taotletavaid eesmärke, mille osa norm on (7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 48 ning seal viidatud kohtupraktika).

31

Samuti tuleb tähelepanu juhtida sellele, et vastavalt Euroopa Liidu põhiõiguste harta artikli 8 lõikele 3 ning isikuandmete kaitse üldmääruse artikli 51 lõikele 1 ja artikli 57 lõike 1 punktile a on liikmesriikide järelevalveasutuste ülesanne kontrollida nende liidu õigusnormide järgimist, mis käsitlevad füüsiliste isikute kaitset isikuandmete töötlemisel (7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 55 ning seal viidatud kohtupraktika).

32

Täpsemalt peab iga järelevalveasutus isikuandmete kaitse üldmääruse artikli 57 lõike 1 punkti f järgi oma territooriumil käsitlema kaebusi, mida igal andmesubjektil on selle määruse artikli 77 lõike 1 alusel õigus esitada, kui ta leiab, et teda puudutavate isikuandmete töötlemine rikub viidatud määrust, ning uurima asjakohasel määral kaebuste sisu, samuti teavitama kaebuse esitajat mõistliku aja jooksul uurimise käigust ja tulemusest. Järelevalveasutus peab sellist kaebust käsitlema nõutava hoolsusega (vt selle kohta 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 56 ning seal viidatud kohtupraktika).

33

Esitatud kaebuste käsitlemiseks on isikuandmete kaitse üldmääruse artikli 58 lõikega 1 niisiis antud järelevalveasutustele ulatuslikud uurimisvolitused. Kui niisugune asutus teeb uurimise tulemusel kindlaks, et kõnealuse üldmääruse sätteid on rikutud, peab ta tuvastatud puuduse kõrvaldamiseks sobival viisil reageerima, sest iga meede, nagu on täpsustatud üldmääruse põhjenduses 129, peab olema muu hulgas asjakohane, vajalik ja proportsionaalne kõnealuse üldmääruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid. Sel otstarbel on sama üldmääruse artikli 58 lõikes 2 loetletud erinevad parandusmeetmed, mida järelevalveasutus võib võtta (vt selle kohta 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 57 ja seal viidatud kohtupraktika).

34

Nii on järelevalveasutusel isikuandmete kaitse üldmääruse artikli 58 lõike 2 kohaselt muu hulgas õigus teha vastutavale töötlejale või volitatud töötlejale noomitusi, kui isikuandmete töötlemise toimingud on rikkunud selle üldmääruse sätteid (punkt b), anda korraldus, et vastutav töötleja või volitatud töötleja rahuldaks andmesubjekti taotlused seoses tema kõnesoleva üldmääruse kohaste õiguste kasutamisega (punkt c), anda korraldus, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse sama üldmääruse sätetega (punkt d), või määrata isikuandmete kaitse üldmääruse artikli 83 kohaselt trahve lisaks artikli 58 lõikes 2 osutatud meetmetele või nende asemel, sõltuvalt konkreetse juhtumi asjaoludest (punkt i).

35

Seega on kaebemenetlus kavandatud mehhanismina, mis suudab tõhusalt kaitsta andmesubjektide õigusi ja huve (7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 58).

36

Käesoleval juhul nähtub eelotsusetaotlusest, et andmekaitsevolinik vaatas põhikohtuasja kaebaja esitatud kaebuse sisuliselt läbi ja teavitas teda uurimise tulemusest. Täpsemalt kinnitas andmekaitsevolinik, et hoiukassas rikuti TRi isikuandmete kaitset, mis seisnes selles, et üks tema töötajatest pääses neile andmetele ilma loata ligi. Siiski jättis andmekaitsevolinik põhikohtuasja kaebaja kaebuse rahuldamata osas, mis puudutas hoiukassa töötajate ligipääsuõigusi. Lisaks asus ta seisukohale, et isikuandmete kaitse üldmääruse artikli 58 lõike 2 alusel ei pea ta hoiukassa suhtes meetmeid rakendama.

37

Sellega seoses tuleb märkida, et isikuandmete kaitse üldmäärus jätab järelevalveasutusele kaalutlusruumi küsimuses, kuidas ta peab tuvastatud puuduse kõrvaldama, sest selle üldmääruse artikli 58 lõige 2 annab sellele asutusele õiguse võtta erinevaid parandusmeetmeid. Nii on Euroopa Kohus juba otsustanud, et sobiva ja vajaliku meetme valimine kuulub järelevalveasutuse pädevusse, kes peab selle valiku tegemisel arvesse võtma konkreetse juhtumi kõiki asjaolusid ja täitma nõutava hoolikusega oma ülesande tagada isikuandmete kaitse üldmääruse täielik järgimine (vt selle kohta 16. juuli 2020. aasta kohtuotsus Facebook Ireland ja Schrems, C‑311/18, EU:C:2020:559, punkt 112).

38

Nagu nähtub isikuandmete kaitse üldmääruse põhjendustest 7 ja 10, piirab seda kaalutlusruumi siiski vajadus tagada isikuandmete järjekindel ja kõrgetasemeline kaitse, kohaldades eeskirju rangelt.

39

Isikuandmete kaitse üldmääruse artikli 58 lõike 2 punktis i nimetatud trahvide kohta nähtub sama üldmääruse artikli 83 lõikest 2, et trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks selle artikli 58 lõikes 2 osutatud meetmetele või nende asemel. Peale selle on artikli 83 lõikes 2 täpsustatud, et otsustamisel, kas trahv on vaja määrata ja kui suures summas, peab järelevalveasutus igal üksikjuhtumil nõuetekohaselt arvesse võtma selle sätte punktides a–k loetletud asjaolusid, nagu rikkumise laad, raskus ja kestus.

40

Niisiis võimaldab liidu seadusandja ette nähtud sanktsioonide süsteem järelevalveasutustel määrata iga juhtumi asjaolusid arvestades kõige sobivamad ja põhjendatumad sanktsioonid (vt selle kohta 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punktid 75 ja 78), võttes arvesse vajadust tagada isikuandmete kaitse üldmääruse täielik järgimine ning eeskirjade range kohaldamisega järjekindel ja kõrgetasemeline isikuandmete kaitse, nagu on meelde tuletatud käesoleva kohtuotsuse punktides 37 ja 38.

41

Seega ei saa ei isikuandmete kaitse üldmääruse artikli 58 lõikest 2 ega selle artiklist 83 järeldada, et kui järelevalveasutus tuvastab isikuandmete rikkumise, on tal igal juhul kohustus võtta parandusmeede, eelkõige määrata trahv, sest tema kohustus on sarnastel asjaoludel reageerida asjakohaselt, et kõrvaldada tuvastatud puudus. Neil asjaoludel, nagu märkis kohtujurist oma ettepaneku punktis 81, ei ole kaebuse esitajal, kelle õigusi on rikutud, subjektiivset õigust nõuda, et järelevalveasutus määraks vastutavale töötlejale trahvi.

42

Seevastu on järelevalveasutus kohustatud sekkuma, kui ühe või mitme isikuandmete kaitse üldmääruse artikli 58 lõikes 2 ette nähtud parandusmeetme võtmine on konkreetse juhtumi kõiki asjaolusid arvesse võttes asjakohane, vajalik ja proportsionaalne, et tuvastatud puudused kõrvaldada ja tagada isikuandmete kaitse üldmääruse täielik järgimine.

43

Ei ole välistatud, et erandjuhul ja konkreetse juhtumi eriomaseid asjaolusid arvestades võib järelevalveasutus jätta parandusmeetme võtmata, isegi kui isikuandmete rikkumine on tuvastatud. Nii võib see olla eelkõige juhul, kui tuvastatud rikkumine ei ole jätkunud, näiteks kui vastutav töötleja, kes on põhimõtteliselt rakendanud asjakohaseid tehnilisi ja korralduslikke meetmeid isikuandmete kaitse üldmääruse artikli 24 tähenduses, on sellest rikkumisest teadasaamisel võtnud asjakohased ja vajalikud meetmed, et rikkumine lõpetada ning et see ei korduks, võttes arvesse kohustusi, mis tal on eelkõige selle üldmääruse artikli 5 lõike 2 ja artikli 24 alusel.

44

Tõlgendust, mille kohaselt ei pea järelevalveasutus siis, kui ta tuvastab isikuandmetega seotud rikkumise, alati võtma parandusmeedet isikuandmete kaitse üldmääruse artikli 58 lõike 2 alusel, toetavad vastavalt selle üldmääruse artikli 58 lõikega 2 ja artikliga 83 taotletavad eesmärgid.

45

Isikuandmete kaitse üldmääruse artikli 58 lõike 2 taotletava eesmärgi kohta nähtub selle üldmääruse põhjendusest 129, et selle sätte eesmärk on tagada, et isikuandmete töötlemine on kooskõlas kõnealuse määrusega ning et olukorrad, kus kõnealust määrust on rikutud, kõrvaldatakse, et viia need liidu õigusega kooskõlla riiklike järelevalveasutuste sekkumise kaudu (14. märtsi 2024. aasta kohtuotsus Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, punkt 40).

46

Sellest järeldub, et parandusmeetme võtmine ei pruugi erandjuhul ja konkreetse juhtumi eriomaseid asjaolusid arvestades olla vajalik, tingimusel et isikuandmete kaitse üldmääruse rikkumine on juba kõrvaldatud ja on tagatud, et isikuandmete töötlemine vastutava töötleja poolt on kooskõlas selle määrusega, ning see, kui järelevalveasutus jätab meetmed võtmata, ei kahjusta eeskirjade range kohaldamise nõuet, millele on tähelepanu juhitud käesoleva kohtuotsuse punktis 38.

47

Isikuandmete kaitse üldmääruse trahvide määramist käsitleva artikli 83 taotletava eesmärgi kohta olgu tõdetud, et sama üldmääruse põhjenduse 148 kohaselt seisneb see kõnealuse üldmääruse normide kohaldamise tagamises. Samas põhjenduses on siiski märgitud, et järelevalveasutus võib üldmääruse väiksema rikkumise puhul või siis, kui tõenäoliselt määratav trahv kujutaks endast füüsilise isiku jaoks ebaproportsionaalset koormust, jätta trahvi määramata ja teha selle asemel noomituse (vt selle kohta 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 76).

48

Käesoleval juhul nähtub eelotsusetaotlusest, et hoiukassa andis andmekaitsevolinikule vastavalt isikuandmete kaitse üldmääruse artiklile 33 teada põhikohtuasja kaebaja isikuandmete rikkumisest, mis tulenes sellest, et üks tema töötajatest tutvus nende andmetega ilma loata. Lisaks märkis ta, et selle töötaja suhtes on võetud distsiplinaarmeetmed ja ligipääsuprotokollide säilitamise kestus vaadatakse uuesti läbi. Neil asjaoludel ei võtnud andmekaitsevolinik isikuandmete kaitse üldmääruse artikli 58 lõike 2 alusel parandusmeedet ja eelkõige jättis määramata trahvi.

49

Kuna järelevalveasutuse tehtud otsuseid kaebuste kohta kontrollib kohus täies ulatuses (7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 70), peab eelotsusetaotluse esitanud kohus kontrollima, kas andmekaitsevolinik menetles kaebust nõutava hoolikusega ning kas andmekaitsevolinik järgis põhikohtuasjas käsitletavat otsust tehes talle isikuandmete kaitse üldmääruse artikli 58 lõikega 2 antud kaalutlusruumi piire (vt analoogia alusel 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punktid 68 ja 69 ning seal viidatud kohtupraktika).

50

Kõiki eeltoodud kaalutlusi arvestades tuleb esitatud küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 57 lõike 1 punkte a ja f, artikli 58 lõiget 2 ning artikli 77 lõiget 1 tuleb tõlgendada nii, et isikuandmetega seotud rikkumise tuvastamise korral ei pea järelevalveasutus võtma artikli 58 lõike 2 alusel parandusmeedet, eelkõige määrama trahvi, kui niisugune sekkumine ei ole tuvastatud puuduse kõrvaldamiseks ja selle määruse täieliku järgimise tagamiseks asjakohane, vajalik või proportsionaalne.

Kohtukulud

51

Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.
 

Esitatud põhjendustest lähtudes Euroopa Kohus (esimene koda) otsustab:
 

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 57 lõike 1 punkte a ja f, artikli 58 lõiget 2 ning artikli 77 lõiget 1

 

tuleb tõlgendada nii, et

 

isikuandmetega seotud rikkumise tuvastamise korral ei pea järelevalveasutus võtma artikli 58 lõike 2 alusel parandusmeedet, eelkõige määrama trahvi, kui niisugune sekkumine ei ole tuvastatud puuduse kõrvaldamiseks ja selle määruse täieliku järgimise tagamiseks asjakohane, vajalik või proportsionaalne.

 

Allkirjad

( *1 ) Kohtumenetluse keel: saksa.